Glosario
Event ID de FSEvents
Contador de 64 bits, siempre creciente, que acompaña a cada registro FSEvents; ordena los cambios, pero no es una marca de tiempo.
El event ID de FSEvents es el número de 64 bits que se guarda en cada registro FSEvents. Procede de un contador global del sistema que solo aumenta, de modo que cada nuevo cambio en un Mac recibe un ID mayor que el anterior. Las aplicaciones lo usan para preguntar a fseventsd «qué ha cambiado desde el ID X», y las herramientas forenses, para ordenar los registros. Los nombres de los archivos de log de .fseventsd también son event IDs, escritos con 16 dígitos hexadecimales.
Por qué importa en una investigación
El event ID proporciona un orden fiable de los cambios, incluso entre los volúmenes de un mismo Mac: los registros del volumen Data y los de una memoria USB conectada a ese Mac salen del mismo contador y pueden combinarse en una sola secuencia. Ese orden se mantiene aunque se pierda todo lo demás sobre el tiempo, por ejemplo si una adquisición restableció las fechas de modificación de los archivos de log.
No es una marca de tiempo. Entre dos IDs consecutivos puede pasar un milisegundo o una semana, y los huecos en la numeración son normales (cambios en otros volúmenes, eventos no registrados). Para situar un registro en el tiempo, utilice las fechas de modificación de los archivos de log, que dan una ventana y no un instante. Los IDs de dos Mac distintos no son comparables.
Dentro de un mismo registro, el event ID no permite conocer el orden de los cambios fusionados: es el efecto de la agrupación de eventos.
Ejemplo
Un archivo de log llamado 0000000012a44759 abarca IDs hasta aproximadamente 0x12a44759 (FSEventsParser interpreta el nombre como el último event ID del archivo). Si un registro de un LaunchAgent tiene en él un ID menor que una escritura en TCC.db, el plist se registró antes, aunque ambos compartan la misma ventana temporal. FSEvents Parser muestra los IDs en hexadecimal, ordena todas las vistas según ellos y señala los archivos de log cuyo nombre queda fuera del rango de IDs que contienen.
Términos relacionados
Ordene los registros por event ID en FSEvents Parser y lea cómo datar registros FSEvents sin marcas de tiempo para añadir la dimensión temporal.